Política de privacidad

1. Responsable del tratamiento

• Titular: Antonio Palomero García
• NIF: 45189551 W
• Domicilio: Carrer d'Eusebi Estada 21 A 7 B, 07004 Palma, Illes Balears, Spain
• Correo electrónico: hello@retentionfoundry.com
• Sitio web: https://retentionfoundry.com

Esta política describe principalmente los tratamientos en los que Retention Foundry decide los fines y medios respecto de sus propios compradores, usuarios y contactos. Cuando accedemos a datos personales contenidos en la cuenta de Klaviyo de un cliente únicamente para realizar la auditoría siguiendo sus instrucciones, el cliente es el responsable —o el encargado que nos subcontrata con autorización— y Retention Foundry actúa como encargado del tratamiento conforme al Acuerdo de Encargo de Tratamiento.

2. Qué datos tratamos y de dónde proceden

• Formulario de auditoría: nombre, correo electrónico, teléfono (opcional), URL de la tienda, tramo de ventas anuales, flujos de Klaviyo activos, objetivo de retención y la nota que quieras añadir.
• Pago: el pago se realiza en Stripe. Nosotros no vemos ni almacenamos el número de tu tarjeta; recibimos las referencias y datos necesarios para conciliar el pago, facilitar la factura y gestionar la relación contractual.
• Cuenta de cliente: si creas una cuenta para ver tu informe, tratamos los datos de cuenta y autenticación necesarios. Las credenciales de autenticación no se almacenan como una contraseña recuperable en texto claro.
• Analítica propia del embudo: registramos eventos funcionales como una visita, el envío del formulario o el inicio del pago, junto con la ruta sin parámetros y, cuando existe, únicamente el dominio del referente. Para evitar contar repetidamente la misma visita calculamos en el servidor un identificador pseudónimo a partir de la IP y el user-agent con una sal que cambia cada día. La IP y el user-agent no se guardan en ese registro y el identificador no permite enlazar visitas de días distintos. No utilizamos cookies de analítica ni un proveedor externo para este seguimiento.
• Acceso a Klaviyo: para realizar la auditoría utilizamos una clave privada de API de solo lectura creada por el cliente. La aplicación está diseñada para no consultar perfiles ni descargar listados de eventos individuales: consulta configuración de flows, acciones, mensajes, listas y segmentos, y métricas o informes agregados. Puede existir información personal incidental en nombres o contenidos de configuración introducidos por el propio cliente. La clave se almacena cifrada y se elimina al entregar la auditoría.
• Informe de auditoría: conservamos el informe derivado y la revisión humana necesaria para entregarlo y mantenerlo disponible en el espacio de cliente. El informe no está diseñado para reproducir bases de perfiles o eventos individuales de Klaviyo.
• Correo electrónico: los mensajes que nos envíes y los datos necesarios para responder y mantener la relación de servicio.

3. Para qué y con qué base jurídica

• Gestionar tu solicitud, el pago y la entrega de la auditoría y, en su caso, el programa mensual. Base: ejecución de un contrato o de medidas precontractuales a petición tuya (art. 6.1.b RGPD).
• Emitir facturas y cumplir obligaciones fiscales y contables. Base: obligación legal (art. 6.1.c RGPD).
• Medir y mejorar el embudo de compra con analítica propia minimizada. Base: interés legítimo en saber si las páginas y pasos esenciales funcionan y dónde se abandona el proceso (art. 6.1.f RGPD). No creamos perfiles publicitarios, no usamos identificadores persistentes y el hash de visitante cambia diariamente.
• Responder a tus consultas por correo o formulario. Base: interés legítimo en atender a quien nos contacta (art. 6.1.f RGPD) o medidas precontractuales.
• Enviarte comunicaciones comerciales sobre nuestros servicios cuando exista una base jurídica válida y siempre con posibilidad de oposición cuando corresponda. No utilizamos el consentimiento contractual de la auditoría como un consentimiento genérico para newsletters.

Respecto de los datos contenidos en la cuenta Klaviyo del cliente que tratamos como encargado, la base jurídica corresponde al cliente responsable. Retention Foundry no decide una base jurídica propia para reutilizar esos datos con fines independientes.

4. Cuánto tiempo conservamos los datos

• Solicitudes de auditoría no pagadas: 12 meses desde la solicitud, salvo supresión anterior.
• Analítica propia del embudo: 90 días. El proceso diario elimina los eventos cuya antigüedad supera ese plazo; el identificador pseudónimo de visitante, además, cambia cada día y no permite enlazar jornadas distintas.
• Datos contractuales, de pago y facturación: durante la relación y los plazos de conservación que exija la normativa fiscal, contable o de defensa de reclamaciones.
• Consultas por correo: 12 meses desde la última comunicación, salvo necesidad justificada.
• Clave de Klaviyo: se elimina al entregar la auditoría. Si el borrado técnico falla, el sistema registra la incidencia para reintentarlo; el cliente puede además revocarla desde Klaviyo en cualquier momento.
• Datos tratados por cuenta del cliente: se eliminan o devuelven conforme al DPA y a las instrucciones del cliente, salvo obligación legal de conservación. El informe puede mantenerse disponible como parte del servicio mientras el cliente lo requiera.

5. Proveedores, destinatarios y transferencias

No vendemos datos personales. Utilizamos proveedores únicamente para prestar el servicio y distinguimos su función según el tratamiento concreto: algunos actúan como encargados o subencargados y otros pueden tener obligaciones propias, por ejemplo en pagos.

• Stripe: pago y facturación del comprador.
• Vercel: alojamiento, red y ejecución de la aplicación.
• Neon: base de datos PostgreSQL. La configuración técnica actual del proyecto utiliza AWS us-east-2 (Estados Unidos).
• Resend: envío de correos transaccionales.
• Google Workspace: buzón y comunicaciones de soporte.

Para los datos de la cuenta Klaviyo tratados por Retention Foundry como encargado, los subencargados, sus finalidades y las reglas de transferencias internacionales se describen en el DPA. Cuando exista tratamiento fuera del EEE, la transferencia solo se realizará si existe un mecanismo aplicable del capítulo V RGPD —por ejemplo una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. cuando cubra al destinatario, o cláusulas contractuales tipo—. No afirmamos que la mera ubicación o una política de privacidad del proveedor sean suficientes por sí solas.

6. Tus derechos

Respecto de los datos de los que Retention Foundry es responsable, puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a hello@retentionfoundry.com. Podremos pedir información razonable para verificar la identidad antes de entregar datos personales. Si consideras que no hemos atendido tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Si tu solicitud se refiere a datos que tratamos únicamente por cuenta de uno de nuestros clientes, corresponde a ese cliente atenderla como responsable. Le trasladaremos la solicitud y prestaremos la asistencia prevista en el DPA.

7. Cookies

Este sitio no utiliza cookies de análisis, publicidad ni de terceros. Solo utiliza cookies o almacenamiento técnico necesario para idioma, sesión y preferencias de interfaz. La analítica propia descrita arriba se calcula en el servidor sin instalar una cookie de seguimiento. Si en el futuro se incorpora tecnología no esencial, esta política y el mecanismo de consentimiento deberán actualizarse antes de activarla.

8. Seguridad

Toda la comunicación con el sitio utiliza HTTPS. El acceso a Klaviyo se limita a la clave de API de solo lectura que crea y puede revocar el cliente; se cifra mediante AES-256-GCM antes de almacenarse, el secreto de cifrado se mantiene separado de la base de datos y la clave se elimina al entregar la auditoría. El espacio de cliente aplica controles de autenticación y autorización y ninguna auditoría se publica sin revisión humana. Aplicamos medidas técnicas y organizativas adecuadas al riesgo y revisamos estas medidas cuando cambia el tratamiento.

9. Cambios en esta política

Publicaremos aquí cualquier cambio material. Los cambios del DPA que afecten al tratamiento por cuenta de un cliente se gestionarán conforme al propio DPA y no alterarán de forma retroactiva la versión que conste aceptada para una solicitud anterior.